kubectl cp روی ویندوز: tar مخرب از کانتینر به مسیر دلخواه کلاینت می‌نویسد

۲۸ سپتامبر ۲۰۲۶ در oss-security و issue ترکر kubernetes#141294 آسیب‌پذیری CVE-2026-19444 اعلام شد. امتیاز Medium (CVSS ۶٫۵) است، ولی برای کسی که از ویندوز به کلاستر وصل می‌شود عملیاتی است نه تئوری.

ماجرا داخل خودِ کانتینر روی نود نیست؛ روی کلاینت است. وقتی روی ویندوز kubectl cp می‌زنید تا فایل از pod بیاورید، کلاینت یک آرشیو tar را از داخل کانتینر می‌خواند و باز می‌کند. اگر آن tar عمداً path traversal داشته باشد، می‌تواند بیرون از پوشهٔ مقصدِ مورد نظر روی ماشین اپراتور بنویسد. کلاینت‌های Linux و macOS درگیر این CVE نیستند.

نسخه‌های امن kubectl: ≥ 1.34.12، ≥ 1.35.9، ≥ 1.36.5. تا وقتی پچ ننشسته، از کانتینرهای غیرقابل اعتماد روی ویندوز kubectl cp نگیرید؛ محتوا را با مسیرهای کنترل‌شده یا ابزار دیگری بیرون بکشید.

این مورد را با پچ صبحگاهی Kubernetes (CVE-2026-2270 و CVE-2026-76654) قاطی نکنید؛ آن‌ها یک ریلیز جدا بودند و این disclosure مسیر کلاینت ویندوزی cp است.